D9ping

In europa gaat per 25 mei 2018 de nieuwe GDPR wetgeving van kracht. De algemene verordening gegevensbescherming(afgekort: AVG) is de nederlandse implementatie hiervan. In de nieuwe wetgeving wordt het het nu o.a. duidelijk wat persoonsgegevens en bijzondere persoonsgegevens zijn. Bij bedrijven die bijzondere persoonsgegevens verwerkt is het nodig een functionaris voor de gegevensbescherming aan te stellen. Verwerkers van persoonsgegevens zijn verplicht hiervoor toestemming te vragen. Ook ip adresen, ongeacht of het dynamisch ip adres is, is nu duidelijk dat het echt een persoonsgegeven is. Dit heeft onder andere effect op de heel veel gebruikte WordPress blog software dat bij het geven van een commentaar standaard ook een ip adres opslaat van de reageerder. Dit mag per 25 mei niet zonder toestemming. Anderzijds kan wel gezegd worden dat dit een mogelijke middel is tegen commentaar spam en dat het ip adres dus verwerkt wordt voor het doel van beveiliging tegen ongewenste commentaar spam. Het vragen om akkoord te gegeven aan een privacy voorwaarde voordat een commentaar op een wordpress site geplaatst kan worden en/of een ip adressen niet meer opslaan door aanpassingen aan de wordpress software is met de nieuwe GDPR wel aanbevolen om geen risico op een boete te lopen. Een manier om het opslaan van het ip adres in te perken(verwijder laatste cijfer bij IPv4) of het ip adres van de reageerd helemaal niet meer op te slaan kan door gebruik je te maken van deze code snippet. Gelukkig zal er voor wordpress gebruikers mogelijk in een aankomende nieuwe versie mogelijk automatisch een privacy pagina toegevoegd worden bij installatie (zie dit ticket). Met de privacy pagina kun je dan mogelijk in aan de AVG wetgeving, aan het criteria voor het vragen van toestemming, voor het verwerken van ip adres als persoons gegevensverwerking gaan voldoen door dat o.a. te vermelden naast het gebruik van sessie cookies.

Sinds dit jaar heeft o.a. google een nieuwe ontwerp voor een standaard voor: SMTP Strict Transport Security. De beveiliging van SMTP is momenteel nog niet goed doordat bij het gebruikte STARTTLS het opzetten van een SMTP sessie tussen twee mailservers(MTA) en van een client(MUA) naar een mailserver(MTA) bijna altijd opportunistische encryptie(ongeldig of ongevalideerd certificaat) en/of onversleutelde verbindingen toelaat. Dit komt vooral vanwege de noodzakelijke compatibiliteit met andere mailservers(MTA) en misgeconfigreerde mail clienten(MUA). (Zorg ervoor dat je poort 587/submission met STARTTLS gebruikt en niet poort 25 voor e-mail verzending gebruikt). Wat betreft de communicatie tussen mailservers over poort 25 is de harde keuze is er alleen de keuze voor wel of geen e-mail uitwisselen als de verbinding alleen onveilig(bij geen STARTTLS ondersteuning) opgezet kan worden.

Er bestaat al enige jaren de HTTP Strict Transport Security header. Deze HTTP header wordt gezet na het opzetten van een veilige HTTPS connectie en zorgt ervoor de webbrowser voor een lange tijd onthoudt om alleen veilig verbindingen te maken met die website. Op die manier zal er bij terugkomst op de website nooit een downgrade van een veilige verbinding naar een onveilige verbinding kunnen plaatsvinden. De HTTP header wordt echter wel na een veilige HTTPS sessie gezet. Bij SMTP STARTTLS is dit niet mogelijk omdat de verbinding begint met een onveilige SMTP verbinding om te onderhandelen of dat encryptie gebruikt gaat worden. Nu maakt SMTP strict transport security gebruik van een TXT DNS record om het SMTP Strict Transport Security beleid te vinden op een subdomain _mta_sts.
Een mailserver die een e-mail naar een andere mailserver gaat versturen moet immer toch al via DNS het ip adres van de mailserver om mee te verbinden opzoeken. Maar omdat DNS onveilig is als er geen DNSsec gebruikt wordt moet dit DNS record weer gevalideerd worden met een JSON beleid over HTTPS. Want wanneer er geen DNSsec gebruikt op het domain moet nu het hele HTTPS protocol gebruikt gaan worden om de authenticiteit en integriteit van een SMTP Strict Transport Security DNS record te kunnen garenderen. Het SMTP Strict Transport Security lijkt me momenteel zonder DNSsec nog niet eenvoudig te implementeren wat het gebruik en de adoptie ervan voorlopig in de weg kan zitten. Wat jammer is want DNSsec en vooral DANE wordt nog steeds vaak niet ondersteund. Voorlopig blijft daarom e-mail verkeer tussen mail servers bijna altijd niet volledig veilig beveiligd.

Het Safe harbor verdrag(95/46/EC) tussen de Verenigde Staten en de Europese Unie is door het Europese hof ongeldig verklaart omdat het verdrag niet voldoende kan garanderen dat de gegevens van burgers uit de Europese Unie(EU) qua privacy maatstaven van de Europese Unie veilig genoeg zijn in de Verenigde Staten (bron). Uit lekken van inlichtingen diensten uit de Verenigde Staten blijkt dat er slechts onderscheid wordt gemaakt tussen burger uit de Verenigde Staten of geen burger uit de Verenigde Staten. Er was geen ‘een burger van de Europese Unie of Zwitserland’-optie/behandeling zover we tot nu toe weten. Dit betekend in feit dat het opslaan van privé gegevens van burgers uit de Europese Unie in de Verenigde Staten nu mogelijk niet meer toegestaan is. Echter denk ik dat dit voorlopig nog niet van toepassing is, gezien: Frans Timmermans, Věra Jourová (bron) en het CBP hier tot februari 2016 hier nog geen acties tegen gaan ondernemen. Dit zodat er nog wat tijd is voor een nieuw en beter ‘Safe Harbor 2.0’-verdrag.

Facebook heeft (experimentele) ondersteuning voor OpenPGP toegevoegd.
Door je publieke OpenPGP sleutel op bij je Facebook profiel toe te voegen is het voor Facebook mogelijk je OpenPGP versleutelde e-mail te versturen. Hierdoor is bijvoorbeeld de wachtwoord reset functie veiliger te gebruiken. Doordat de e-mail van Facebook ondertekent is met de Facebook OpenPGP sleutel weet je zeker dat de e-mail echt (bewijsbaar) van van Facebook afkomst is. En iemand die het e-mail verkeer kan afluisteren zal niet de inhoud van je e-mail van Facebook in kunnen zien. De wachtwoord reset links met geheime code bij verificatie van je e-mail adres (o.a. als je wachtwoord vergeten bent) zijn daarmee dus ook een stuk veiliger verzonden. Maar het is wel alleen zo veilig als dat je privé sleutel beschermt wordt en de zorgvuldigheid van het vaststellen van echtheid, de verificatie van de Facebook publieke sleutel.

Veel banken hebben hun klanten of gaan hun klanten een nieuwe pinpas geven waarmee contactloos betaald kan worden in 2015.
Het contactloos betalen moet het mogelijk maken af te rekenen door slechts je pinpas kortstondig bij een betaalautomaat te houden en dan is géén pincode nodig en je hebt betaald. Zeer gemakkelijk dus voor consumenten om te betalen maar niet meer zo bewust.
Er zou een limiet van 25 euro per transactie of 50 euro per dag aan het contactloos betalen zitten. Echter blijkt dit limiet niet te werken als je het voor elkaar krijgt een pinapparaat gateway op te zetten dat goedgekeurd is door banken, dan zou je theoretisch elk maximum bedrag per dag met contactloos betalen kunnen afrekenen door een andere valuta te gebruiken. Omdat contactloos betalen erg onbewust gebruikt wordt bij het betalen wordt het nieuwe contactloos betalen ook een nieuw middel voor digitale zakkenrollers. Gelukkig is het opzetten van een goedgekeurde pinapparaat gateway niet makkelijk zolang hierop nog goed toezicht gehouden wordt. En is er een limiet van 50 euro per dag waardoor het verlies beperkt blijftzolang het limiet in euro’s gebruikt wordt. Er zijn ook speciale hoesjes om de RFID chip af te schermen.

update 1: het artikel van newcastle university is verdwenen.

Update 2: aangetoond is het dat door de consumentenbond dat een als particulier momenteel helaas niet erg lastig is een gateway/pin apparaat aan te vragen voor contactloos betalen en dus ook mee contactloos zakkenrollen tot € 50 zonder pincode. Wel blijft de het contactloos zakken rollen (bijna?)nooit anoniem voor de contactloos zakkenroller doordat banken hun klanten kennen met volledig ID/paspoort.

update 2018-12: Geval bekend waarbij digitale zakkenrollen door contactloos betalen gebruikt is.

Wat is een privacy vriendelijk sociaal netwerk en waar zitten leuke mensen?
Ik heb een vergelijking gemaakt waaruit blijkt dat Nederlanders nog steeds het beste af zijn met z’n (nu al verouderde, niet meer zo populaire) Hyves.
De hoofd rede: Nederlandse privacy wetgeving. Deze zijn beter veel dan Amerikaanse bedrijven die met Europese data omgaan waarin alleen beloftes wordt gedaan wordt door zelf regulering, vooral punten 5, 7 & 8 van deze wiki. Zelf regulering is niet zo goed vanwege een aantal nadelen dat het heeft. Daarnaast heb ik ook gekeken hoe het sociale netwerk technisch in elkaar zit. Hierin scoort natuurlijk alleen diaspora goed, dat daar heel anders in is. Het is namelijk een distributed sociaal netwerk. Een distributed sociaal netwerk is een sociaal netwerk website die niet door 1 bedrijf gedraaid kan worden maar door verschillende gebruikers over de hele wereld. Het voordeel daarvan is dat er niet 1 bedrijf is alle macht over alle gebruikers van dit sociale netwerk heeft. Echter moet ik wel nog concluderen dat diaspora niet leuk is doordat het nog te weinig gebruikers heeft. Vandaar dat diaspora nu nog slechts de tweede plek behaalt.

Een interessant vraagstuk waar ik me laatst over bedacht,
Welke populaire webbrowser biedt standaard de meeste privacy?
Dus laten we eens vergelijken welke privacy bedreigingen de meest populaire webbrowser standaard hebben.

Firefox 3.6.x:
-safebrowsing(aanval sites blokkeren) download periodiek updates.
-extensie’s controleren op updates, vaak zonder SSL.
-Firefox controlleert periodiek op updates.
-Geïnstalleerde zoekmachines controleren periodiek op updates.
-user-agent vertelt: browser&versie en je besturingssysteem en taal

Internet Explorer 8.0
-Aanbevolen website’s tonen moet je huidige bezoek aan een website met Mmicrosoft delen om aanbevolen suggestie te kunnen tonen.
-Internet explorer zoekt periodiek naar updates
-“product kwaliteit verbeteren” deelt systeeminfo en gebruikers gedrag tijdens installatie met Microsoft.
-internet explorer wordt door windows update geupdate.
-user-agent vertelt: browser&versie, je besturingssysteem, je taal, geïnstalleerde .NET versie’s.

Google Chrome 4.0
-2% van de getypte zoek opdrachten op de adresbalk worden naar google verstuurt voor een analyse van de populaire zoekwoorden. Google zegt dat dit in 24 uur geanonimiseerd is.
-safebrowsing download periodiek updates.
-Chrome wordt automatische geupdate door googleupdate wat draait als het systeem aanstaat.
-Elke chrome installatie geeft een uniek nummer, dit wordt mee verzonden bij getype zoekopdrachten vanaf de adresbalk.
-“product kwaliteit verbeteren” deelt systeeminfo en gebruikers gedrag tijdens installatie met Google.
-user-agent vertelt: browser&versie, je taal en je besturingssysteem .

Opera 10.x
-Controlleert regelmatig op updates
-Turbo opties laat verkeer via Opera Software proxy server gaan.
-user-agent vertelt: alleen browser&versie en je besturingssysteem.

Mijn lijstjes is denk ik nog niet compleet. Maar als ik de balans opmaak. Dan doet firefox het qua standaard privacy (privacy by default) waarschijnlijk het beste. Letwel dat echter de addons updates (vrijwel altijd zonder SSL) veel vertelt over hoe je firefox ingericht is. Ook Opera doet het goed zolang je Unite en Turbo niet gebruikt.
Er kan ook gezegd worden dat veel dingen privacy vriendelijker zijn te maken door de juiste instellingen te kiezen. Eigenlijk maakt de keuze welke webbrowser je gebruikt niet veel uit, als je maar de juiste instellingen goed kiest.

Bijvoorbeeld: als je in Chrome als standaard zoekmachine niet voor google kiest wordt geen 2% van je getype urls en zoekwoorden naar Google verzonden. Ook “aanbevolen website’s tonen” kun je bij de eerste keer bij gebruik van Internet Explorer8 (na de installatie) meteen niet inschakelen.

Vele mensen weten niet dat Facebook™ de status update’s die verstuurt worden nooit echt verwijdert worden.
Als je op de knop verwijderen duwt is de status updates niet echt weg maar slechts niet meer zichtbaar.
De data is er echter wel nog bewaart in een array met alle status updates.
En een Facebook™ app die de rechten heeft je stream te bekijken kunnen deze berichten inzien inclusief dus de “verwijderde” status updates.

Update: Facebook heeft het ontwikkelaars test console veranderd, de instructie hieronder kloppen niet meer.
Hier is hoe je de hele stream incl. je verwijderen status updates kunt zien,
en waarmee je dus ook je de verwijderde status update kunt inzien:
Ga naar developers.facebook.com/tools.php en log in.
Op de tab API-testconsole zorg je ervoor dat de
toepassing Test Console geselecteerd is.
Kies in de selectielijst de methode: stream.get.
Alle andere velden mag je leeg laten.
Druk op de knop bel methode.
In XML (standaard) krijg je nu alle status updates te ZIEN incl. je verwijderde.

Je kon je verwijderde berichten alleen opnieuw inzien, terugplaatsen kan niet omdat je geen rechten hebt je stream/posts aan te passen. Een Facebook™ app kon in 2010 alleen maar een post toevoegen.
Als je problemen met een verwijderde Facebook bericht dan ga en kan ik je niet helpen, ik werk niet gratis voor Facebook om jouw Facebook™ problemen op te lossen.
Deze post was slechts een technische demonstratie dat Facebook posts nooit echt verwijdert werden in 2010.
Pas dus op wat je op Facebook™ zegt het werd waarschijnlijk lang of voor altijd bewaart. Of dit in 2015 nog steeds gebeurt weet ik niet.

Google analytics is een vrij krachtige en populaire tool om je bezoekers op je website te leren kennen. Het werkt met een javascriptje dat een webmaster aan zijn site toevoegd. Google analytics kan behalve nagaan welke plugins een bezoekers geïnstalleerd heeft, welke browser die gebruikt en welke besturingssysteem ook nagaan via de http reffer van welke website je komt. En dingen als schermresolutie valt via javascript allemaal uit te lezen. Allemaal heel interessant voor de webmaster, maar ongezond voor de privacy van de bezoeker. Want een webmaster zou ook bedenken dat alleen het aantal bezoekers belangrijk is, dit omdat een webmaster wilt weten hoeveel dataverkeer zijn website verbruikt en dus kost.
Om toch de mensen die zich druk maken om de privacy schade die google analystics aanbrengt goed te maken. Heeft google een hele plugin(bron) voor je browser uitgebracht om google analytics te blokkeren. Dit is best een omslachtige methode omdat het slechts 1 javascriptje is. En om daar nou een hele plugin voor te installeren. Je kunt niet weten zonder broncode van die plugin te bekijken of die niet gevaarlijk is. En de plugin gaat niet tegen alle alternatieve voor google analytics werken.

Een betere alternatieve oplossing

Een blokkering van analystics.google.com in je hosts bestand zou een minder zware oplossing zijn. Onder linux systemen is het vrij gemakkelijk te doen. Je voegt de regel:

127.0.0.1 www.google-analytics.com
127.0.0.1 www-google-analytics.l.google.com

toe aan het bestand in /etc/hosts
Onder Windows vergt het iets meer werk.
Je moet dezelfde regels toevoegen aan het bestand in:
c:\windows\system32\drivers\etc\hosts

Onder windows vista en 7 moet je dit wel met de administrator account doen. Maar het kan ook met een tool als HostsXpert.
Het voordeel van google analystics in je host bestand blokkeren is dat het voor elke webbrowser onder het besturingssysteem dat je gebruikt werkt. Nadeel is wel dat je analystics.google.com echt niet meer kunt bezoeken.

Een andere oplossing is om je tegen google analystics en andere datamining webmastertools te beschermen is door simpelweg javascript uit te zetten.
Als je dat doet ben je ook beschermt tegen oneindige lopende messageboxen en andere javascript kwaad waar je met frustratie alleen je webbrowser kunt laten crashen om het te laten ophouden.
Je kunt ook de Firefox extensie’s NoScript installeren zodat je alleen de gevaarlijke en privacy onvriendelijk javascripts hoeft te blokkeren.
Ook biedt NoScript bescherming tegen het recente Firefox Zeroday lek.